Diese TOMs sollten regelmäßig geprüft und an die tatsächliche technische Umsetzung angepasst werden.
1. Zugriffskontrolle
Zugriff auf die Plattform erfolgt über individuelle Benutzerkonten. Rollen und Berechtigungen regeln, welche Daten Benutzer sehen oder bearbeiten dürfen. Administratorrechte werden begrenzt vergeben.
2. Mandantentrennung
Studio- und Behandlerdaten werden mandantenfähig getrennt. Datenabfragen und Speicherzugriffe werden tenant-bezogen umgesetzt, damit Kunden-, Termin-, Rechnungs- und Dokumentationsdaten nicht zwischen Studios vermischt werden.
3. Authentifizierung
Die Authentifizierung erfolgt über sichere Auth-Systeme. Passwörter werden nicht im Klartext gespeichert. Sitzungen werden technisch geschützt und können beendet werden.
4. Transportverschlüsselung
Die Datenübertragung erfolgt über HTTPS/TLS. Externe Schnittstellen werden nur über verschlüsselte Verbindungen angesprochen.
5. Speicherschutz
Dokumente, Fotos, PDFs und Kundendaten werden in geschützten Speicherbereichen verwaltet. Öffentliche Zugriffe werden vermieden; Dateizugriffe sollen über kontrollierte bzw. zeitlich begrenzte Links erfolgen.
6. Protokollierung und Audit-Logs
Wichtige Aktionen wie Erstellung, Änderung, Löschung, Versand und Zugriff auf sensible Daten können protokolliert werden. Audit-Logs dienen Nachvollziehbarkeit, Sicherheit und Fehleranalyse.
7. Datensicherung und Wiederherstellung
Die Plattform nutzt Backup- und Wiederherstellungsmechanismen der eingesetzten Infrastruktur. Zusätzlich werden Export- und Wiederherstellungsprozesse vorgesehen.
8. Verfügbarkeitskontrolle
Die Plattform wird nach Best-Effort-Prinzip betrieben. Monitoring, Fehleranalyse und Wiederherstellungsmaßnahmen sollen helfen, Ausfälle zu erkennen und zu beheben.
9. Eingabekontrolle
Durch Benutzerkonten, Zeitstempel und Protokollierung kann nachvollzogen werden, wer bestimmte Daten eingegeben, geändert, versendet oder gelöscht hat.
10. Datenschutz durch Technikgestaltung
Clientique verfolgt Grundsätze wie Datenminimierung, Rollenbegrenzung, getrennte Einwilligungen, Mandantentrennung, sichere Standardkonfigurationen und kontrollierte Exporte.
11. Umgang mit Sicherheitsvorfällen
Sicherheitsvorfälle werden geprüft, dokumentiert und nach gesetzlichen Anforderungen behandelt. Betroffene Auftraggeber werden informiert, soweit dies erforderlich ist.